Verificar una descarga

Comprueba que un archivo de Tersa es exactamente el que se publicó, con sha256 y minisign.

Cada versión publica, junto a sus archivos:

• SHA256SUMS: la suma SHA-256 de cada archivo de la versión;
• SHA256SUMS.minisig y un .minisig por archivo: firmas de minisign hechas con la clave de publicación de Tersa.

La página de descargas enlaza todos ellos, y cada archivo se sirve desde el propio tersa.dev.

1. Comprueba la suma de verificación

Pon SHA256SUMS en la carpeta del archivo que descargaste y ejecuta:

sha256sum -c SHA256SUMS --ignore-missing

Muestra OK junto al archivo. En macOS, usa shasum -a 256 -c SHA256SUMS --ignore-missing.

2. Comprueba la firma

Una suma solo demuestra que el archivo coincide con la lista. La firma demuestra que la lista (o el archivo) la hizo quien tiene la clave de publicación:

minisign -Vm SHA256SUMS -P <clave pública>
minisign -Vm <archivo> -P <clave pública>

La clave pública aparece en la página de descargas y también se publicará en el repositorio. Todavía no se ha generado, así que no hay nada que comprobar hasta la primera versión.

3. La firma de la propia plataforma

• macOS: spctl -a -vv /Applications/Tersa.app debe indicar accepted y source=Notarized Developer ID.
• Windows (PowerShell): Get-AuthenticodeSignature .\Tersa-Setup-<versión>-x64.exe debe mostrar Status: Valid.